Reporting, Kennzahlen und Management-Information – IKS

Die Empfänger richten sich nach Verantwortung und Entscheidungsbedarf. Verwaltungsrat oder Aufsichtsorgan benötigen ein verdichtetes Bild zu wesentlichen Risiken, kritischen Mängeln und Managementreaktionen. Geschäftsleitung und Bereichsleitung brauchen zusätzlich operative Trends, Verantwortlichkeiten und Eskalationen. Prozess- und Kontrollverantwortliche erhalten detaillierte Aufgaben- und Abweichungsinformationen. Vertrauliche Inhalte werden nach Need-to-know verteilt; nicht jeder Empfänger benötigt dieselbe Tiefe.

Die Frequenz sollte risikobasiert festgelegt werden. Für die Geschäftsleitung ist häufig ein monatliches oder quartalsweises Reporting sinnvoll, für den Verwaltungsrat meist ein quartalsweiser oder mindestens jährlicher Gesamtbericht. Kritische Kontrollausfälle, Betrugsverdacht oder erhebliche Datenschutz- und Sicherheitsereignisse werden unabhängig vom normalen Zyklus sofort eskaliert. Stabile Bereiche dürfen weniger häufig berichtet werden, sofern Frühindikatoren und klare Eskalationsregeln bestehen.

KRIs zeigen eine steigende Risikoexposition frühzeitig an. Beispiele sind überfällige Schlüsselkontrollen, Restrisiken oberhalb der Toleranz, wiederholte Kontrollausnahmen, unvereinbare Berechtigungen, ungewöhnliche Transaktionen, hohe Personalfluktuation in kritischen Rollen oder zunehmende Sicherheitsvorfälle. Ein guter KRI besitzt Datenquelle, Eigentümer, Messfrequenz sowie Warn- und Eskalationsschwelle. Er sollte einen plausiblen Bezug zum Risiko haben und eine konkrete Reaktion auslösen.

Kontrolltätigkeit lässt sich als Verhältnis von fälligen zu durchgeführten Kontrollen darstellen, ergänzt um Anzahl, Frequenz und Risikogewicht. Eine reine Stückzahl ist wenig aussagekräftig, weil eine ausgeführte Nebenkontrolle nicht denselben Wert wie eine ausgefallene Schlüsselkontrolle hat. Das Reporting sollte daher zwischen Schlüssel- und übrigen Kontrollen, planmässigen und ausserordentlichen Tätigkeiten sowie vollständigen und unvollständigen Nachweisen unterscheiden. Trends und Ursachen machen die Kennzahl handlungsrelevant.

Termintreue ist der Anteil der Kontrollen, die bis zum vorgesehenen Fälligkeitsdatum vollständig abgeschlossen wurden. Sinnvoll sind zusätzliche Klassen wie ein bis sieben, acht bis dreissig und mehr als dreissig Tage verspätet. Verschobene Termine müssen separat erkennbar bleiben, damit nachträgliche Terminänderungen die Kennzahl nicht künstlich verbessern. Das Reporting sollte besonders verspätete Schlüsselkontrollen, betroffene Risiken, Gründe und vereinbarte Reaktionen zeigen.

Verlässlichkeit verbindet regelmässige, fristgerechte Durchführung mit ausreichender Nachweisqualität und korrekter Abweichungsbehandlung. Ein möglicher Index gewichtet Termintreue, Vollständigkeit, Ergebnisqualität und Wiederholungsfehler. Die Berechnung muss transparent und über Perioden konsistent sein. Eine hohe Quote darf nicht darüber hinwegtäuschen, dass einzelne kritische Kontrollen versagt haben; deshalb gehören Ausnahmen und Risikogewichtung immer zur Interpretation.

Wirksamkeit wird nicht allein durch eine erledigte Aufgabe belegt. Zu beurteilen sind Angemessenheit des Kontrolldesigns, tatsächliche Durchführung, Qualität der verwendeten Daten und Reaktion auf Abweichungen. Kontrolltests, Self-Assessments, Vorfälle und verbleibende Risiken liefern gemeinsam das Bild. Das Reporting sollte zwischen designwirksam, operativ wirksam, teilweise wirksam und unwirksam unterscheiden und die zugrunde liegenden Kriterien sowie offenen Verbesserungen nennen.

Jedes wesentliche Risiko wird mit mindestens einer geeigneten Kontrolle verknüpft. Gemessen werden können der Anteil abgedeckter Risiken, die Abdeckung durch wirksame Schlüsselkontrollen und der Anteil ohne aktuellen Test. Wichtig ist eine qualitative Prüfung: Mehrere schwache Kontrollen ergeben nicht automatisch eine gute Abdeckung. Risiken ohne Kontrolle, Kontrollen ohne klares Risiko sowie Abhängigkeiten von einer einzigen Person oder einem einzigen System sollten gesondert ausgewiesen werden.

Der Bericht nennt Kontrolle, Risiko, Fälligkeit, Dauer der Verspätung, verantwortliche Rolle und Grund. Zusätzlich wird erläutert, ob eine kompensierende Kontrolle besteht, wie hoch das verbleibende Risiko ist und bis wann die Durchführung oder Behebung erfolgen soll. Kritische Ausfälle werden hervorgehoben und nach definierten Regeln eskaliert. Eine blosse Anzahl überfälliger Aufgaben ohne Risikokontext reicht für eine Managemententscheidung nicht aus.

Massnahmen werden nach Schweregrad, Risiko, Eigentümer, Frist und Status dargestellt. Der Bericht unterscheidet planmässige, gefährdete, überfällige und zur Wirksamkeitsprüfung anstehende Massnahmen. Wiederholte Terminverschiebungen bleiben sichtbar und benötigen eine begründete Genehmigung. Für wesentliche Punkte sind Ursache, bisherige Fortschritte, Hindernisse, Restrisiko und nächster Entscheid anzugeben. Eine Massnahme gilt erst nach Umsetzung und angemessener Validierung als abgeschlossen.

Top-Risiken werden direkt mit Kontrollabdeckung, Teststatus, Vorfällen und Massnahmen verbunden. Dadurch sieht das Management nicht nur die abstrakte Risikobewertung, sondern auch, ob die wichtigsten Schutzmechanismen funktionieren. Veränderungen von Brutto- und Restrisiko sowie neue Abhängigkeiten werden erklärt. Das Reporting sollte zudem zeigen, welche Risiken ausserhalb der Toleranz liegen und ob Managemententscheidungen, zusätzliche Kontrollen oder eine bewusste Risikoakzeptanz erforderlich sind.

Zeitreihen über mehrere vergleichbare Perioden zeigen, ob Termintreue, Wirksamkeit, Mängel oder Restrisiken besser oder schlechter werden. Definitionen und Scope müssen konstant bleiben oder Änderungen klar markiert werden. Neben Linien und Balken helfen kurze Kommentare zu Ursachen, Sondereffekten und erwarteter Entwicklung. Besonders nützlich ist die Verbindung von Frühindikatoren mit späteren Vorfällen, weil sie zeigt, welche Kennzahlen tatsächlich prognostischen Wert besitzen.

Für jede Farbe werden vorab messbare Kriterien, Toleranzen und Eskalationen definiert. Rot sollte einen konkreten Handlungsbedarf bedeuten, Gelb eine beobachtungs- oder entscheidungsbedürftige Abweichung und Grün einen akzeptablen Zustand innerhalb des festgelegten Rahmens. Farben ersetzen keine Erläuterung und dürfen kritische Einzelprobleme nicht in einem grünen Durchschnitt verstecken. Schwellenwerte sind regelmässig zu überprüfen und bei Veränderungen nachvollziehbar anzupassen.

Kennzahlen werden mit Risikokontext, Datenqualität, Ausnahmen und unabhängigen Tests ergänzt. Aggregierte Werte müssen bis zur einzelnen Kontrolle nachvollziehbar sein. Kritische Ereignisse dürfen nicht durch Durchschnittsbildung verschwinden, und fehlende Daten sind sichtbar als solche auszuweisen. Regelmässige Plausibilisierung, Stichproben und Managementgespräche prüfen, ob das Dashboard die Realität abbildet. Eine präzise grüne Anzeige ist wertlos, wenn die zugrunde liegenden Nachweise unzuverlässig sind.

Der Verwaltungsrat benötigt ein verdichtetes Bild über wesentliche Risiken, Angemessenheit und Wirksamkeit des IKS, kritische Kontrollmängel, bedeutende Vorfälle und überfällige Managementmassnahmen. Er sollte Trends, Veränderungen des Scopes, Abweichungen von der Risikotoleranz sowie die Einschätzung von Geschäftsleitung, interner und externer Revision kennen. Der Bericht muss Entscheidungen und Überwachungsfragen ermöglichen, ohne das Gremium mit operativen Einzelheiten zu überladen.

Die Geschäftsleitung braucht zusätzlich zur Gesamtbeurteilung konkrete Informationen über betroffene Bereiche, Ursachen, Verantwortlichkeiten, Fristen und Ressourcenbedarf. Wichtig sind Top-Risiken, ausgefallene Schlüsselkontrollen, wiederkehrende Mängel, gefährdete Massnahmen und anstehende Veränderungen. Sie muss erkennen können, wo Prioritäten oder Budgets anzupassen sind. Operative Detaildaten sollten über Drill-down verfügbar sein, während der Hauptbericht auf Entscheidungen und Eskalationen fokussiert bleibt.

Daten werden nach Risiko, Bedeutung und Veränderung verdichtet und mit einer klaren Aussage verbunden: Was ist passiert, warum ist es relevant, welche Optionen bestehen und wer muss bis wann entscheiden? Vergleichswerte, Schwellen und Trends schaffen Kontext. Statt langer Bestandslisten stehen Ausnahmen, Ursachen und erwartete Auswirkungen im Vordergrund. Jede wesentliche Feststellung sollte zu einer Verantwortlichkeit, Massnahme, Risikoakzeptanz oder dokumentierten Managemententscheidung führen.